Konteks Peristiwa
Google resmi menangguhkan sebagian skema dalam program Open Source Software Vulnerability Rewards Program (OSS VRP) hingga kuartal pertama 2027. Keputusan pembekuan yang mulai berlaku per 1 Oktober 2026 ini diambil menyusul lonjakan masif pengiriman laporan kerentanan otomatis yang dihasilkan oleh alat kecerdasan buatan (AI-generated bug reports). Sebagian besar dari laporan tersebut terbukti tidak valid, tidak dapat dieksploitasi, atau murni halusinasi model bahasa besar (LLM).
Pergeseran ini mengubah dinamika riset keamanan open source secara drastis. Sebelumnya, menemukan defek kode atau celah logika pada repositori publik Google membutuhkan keahlian teknis tinggi dan analisis manual mendalam. Namun, proliferasi model AI generatif dan skrip pemindai otonom memangkas hambatan teknis hingga mendekati nol, memicu banjir laporan berkualitas rendah dari para pemburu celah keamanan (bounty hunters) yang mengandalkan otomatisasi tanpa verifikasi.
Akibatnya, teknisi keamanan Google serta para pengelola (maintainers) proyek open source menghabiskan porsi waktu yang tidak proporsional hanya untuk memeriksa dan menyaring ribuan laporan palsu. Beban administrasi dan triage ini mengalihkan perhatian tim teknis dari tugas krusial lain, yakni memitigasi dan menambal kerentanan keamanan nyata yang berisiko tinggi terhadap ekosistem software terbuka.
Manajemen Google menegaskan bahwa pembekuan operasional ini hanya berdampak pada kategori pelaporan kerentanan produk di repositori software terbuka. Pelaporan risiko rantai pasok software (supply chain vulnerabilities) dalam program OSS VRP tetap dibuka secara normal, begitu pula pelaporan kerentanan produk melalui portal Cloud VRP untuk repositori Google Cloud tertentu.
Krisis banjir laporan buatan AI ini mencerminkan fenomena yang tengah melanda berbagai inisiatif keamanan siber global. Sebelumnya, para maintainer kernel Linux mengeluhkan lonjakan tajam pengajuan CVE yang mendekati rekor 2.000 kerentanan per siklus rilis akibat pemindaian AI terhadap puluhan juta baris kode. Produsen semikonduktor Intel bahkan mengambil langkah serupa dengan menangguhkan program bug bounty bernilai hadiah hingga $100.000 guna menata ulang mekanisme validasi.